สรุปสั้น
บริษัท Brinks Home ผู้ให้บริการระบบรักษาความปลอดภัยบ้านรายใหญ่ของสหรัฐอเมริกา ได้เปิดเผยว่าแฮ็กเกอร์เจาะเข้าระบบบางส่วนของบริษัทและกำลังขู่ว่าจะปล่อยข้อมูลที่อ้างว่าขโมยออกไป โดยบริษัทตรวจพบการโจมตีเมื่อวันที่ 20 กรกฎาคม 2569 และเริ่มกระบวนการตอบสนองเหตุการณ์ทันทีเพื่อจำกัดความเสียหาย นาย William Niles ประธานเจ้าหน้าที่บริหารของ Brinks Home ระบุว่าทีมงานของบริษัทกำลังทำงานร่วมกับผู้เชี่ยวชาญด้านนิติวิทยาศาสตร์ดิจิทัลชั้นนำเพื่อจัดการกับปัญหานี้ และย้ำว่าการบุกรุกไม่ได้ส่งผลกระทบต่อระบบเฝ้าระวังสัญญาณเตือนภัยหรือการทำงานของระบบรักษาความปลอดภัยที่ติดตั้งอยู่กับลูกค้าแต่อย่างใด
ต้นสัปดาห์ที่ผ่านมา กลุ่มรีดไถ ShinyHunters ออกมาอ้างความรับผิดชอบต่อการโจมตี Brinks Home โดยระบุว่าขโมยข้อมูล Salesforce ไปได้มากกว่า 4.9 ล้านรายการซึ่งมีข้อมูลระบุตัวบุคคล (PII) รวมอยู่ด้วย กลุ่มนี้เล่าให้ BleepingComputer ฟังว่าเจาะเข้าระบบของ Brinks Home ตั้งแต่วันที่ 13 กรกฎาคม ด้วยการโจมตีแบบฟิชชิงทางเสียง (vishing) ที่เล็งกระบวนการยืนยันตัวตนของ Microsoft Entra กล่าวคือโทรหาพนักงานแล้วโน้มน้าวให้ทำขั้นตอนยืนยันตัวตนหรือลงทะเบียนอุปกรณ์จนจบ ซึ่งจบลงด้วยการที่แฮ็กเกอร์ได้สิทธิ์เข้าถึงบัญชีของเหยื่อ
ตัวเลขที่กลุ่มอ้างประกอบด้วยข้อมูลลูกค้ากว่า 1.1 ล้านแถวจาก Salesforce Object ที่ชื่อ Contacts, ข้อมูล PII ของพนักงาน Brinks Home กว่า 4,000 แถว ซึ่งมีทั้งชื่อ-นามสกุลเต็ม อีเมล ตำแหน่งงาน และเบอร์โทรศัพท์ รวมถึงบันทึกแชตฝ่ายบริการลูกค้าจากระบบ Brinks Care Cresta อีกกว่า 3.8 ล้านรายการ ทั้งนี้ BleepingComputer ระบุว่ายังไม่ได้ตรวจสอบข้อมูลที่อ้างว่าถูกขโมยและไม่สามารถยืนยันความถูกต้องของข้อกล่าวอ้างจากกลุ่ม ShinyHunters ได้ อย่างไรก็ตาม Brinks Home ยืนยันว่าผู้โจมตีได้ขู่ว่าจะเผยแพร่ข้อมูลที่อ้างว่าเอาไปจริง และเนื้อหาดังกล่าวอาจถูกโพสต์สู่สาธารณะ
รายละเอียดข่าว
เว็บไซต์ BleepingComputer รายงานเมื่อวันที่ 30 กรกฎาคม 2569 ว่า บริษัท Brinks Home ได้เปิดเผยเหตุการณ์ที่แฮ็กเกอร์เจาะระบบบางส่วนของบริษัทและกำลังข่มขู่เรียกค่าไถ่ด้วยข้อมูลที่อ้างว่าขโมยไป โดยบริษัทได้เผยแพร่หน้าอัปเดตสถานการณ์ด้านความมั่นคงปลอดภัยไซเบอร์และเอกสารคำถามที่พบบ่อยสำหรับลูกค้าไว้บนเว็บไซต์ของตัวเอง
บริษัท Brinks Home มีรายได้ต่อปีราว 830 ล้านดอลลาร์สหรัฐ มีพนักงานสูงสุดราว 1,500 คน และให้บริการระบบรักษาความปลอดภัยบ้านแก่ลูกค้ากว่า 1 ล้านรายทั่วสหรัฐอเมริกา แคนาดา และเปอร์โตริโก โดยผลิตภัณฑ์ครอบคลุมทั้งเซ็นเซอร์ แผงควบคุม กล้องวงจรปิด ไปจนถึงอุปกรณ์สมาร์ตโฮมอย่างกลอนประตูอัจฉริยะ เทอร์โมสตัต และปลั๊กไฟอัจฉริยะ ซึ่งทำให้ฐานข้อมูลลูกค้าของบริษัทมีความอ่อนไหวเป็นพิเศษ เพราะเป็นข้อมูลของครัวเรือนที่ระบุได้ว่าใครติดตั้งระบบรักษาความปลอดภัยแบบใดไว้ที่ไหน
ในการอัปเดตล่าสุดเกี่ยวกับเหตุการณ์ บริษัทระบุว่ายังอยู่ระหว่างการสอบสวนและ “ยังไม่ยืนยันว่าข้อมูลใดถูกเกี่ยวข้องบ้างและเป็นข้อมูลของใคร” พร้อมระบุในเอกสารคำถามที่พบบ่อยว่า หากพบว่าข้อมูลของลูกค้ารายใดได้รับผลกระทบ บริษัทจะแจ้งให้ทราบและอธิบายว่าลูกค้าควรดำเนินการอย่างไรบ้าง
นอกจากนี้บริษัทยังออกคำเตือนสำคัญว่า ผู้ไม่ประสงค์ดีอาจฉวยโอกาสจากเหตุการณ์นี้ด้วยการส่งข้อความหลอกลวงโดยแอบอ้างเป็น Brinks Home หรือเป็นหน่วยงานอื่นที่เกี่ยวข้องกับการรับมือเหตุการณ์ จึงแนะนำให้ลูกค้าไม่ตอบกลับข้อความที่น่าสงสัย ไม่คลิกลิงก์ใด ๆ ในข้อความเหล่านั้น และให้ลบข้อความทิ้งไป
ที่ผ่านมากลุ่ม ShinyHunters เคลื่อนไหวอย่างต่อเนื่องด้วยรูปแบบเดียวกัน คือใช้วิศวกรรมสังคมเจาะเข้าถึงบัญชีพนักงานแล้วดูดข้อมูลจากระบบ SaaS โดยเฉพาะ Salesforce ก่อนนำข้อมูลมาข่มขู่เรียกค่าไถ่ผ่านเว็บ leak site ของตัวเอง โดยไม่จำเป็นต้องเข้ารหัสระบบเหมือนแรนซัมแวร์ทั่วไป ทำให้ตรวจจับได้ยากกว่าและองค์กรมักรู้ตัวก็ต่อเมื่อถูกติดต่อมาเรียกค่าไถ่แล้ว
วิธีการโจมตี
วิธีที่ ShinyHunters อ้างว่าใช้กับ Brinks Home คือการโจมตีแบบ vishing ที่เล็งไปที่กระบวนการยืนยันตัวตนของ Microsoft Entra ซึ่งเป็นระบบจัดการอัตลักษณ์บนคลาวด์ของ Microsoft ผู้โจมตีจะโทรหาพนักงานโดยแอบอ้างเป็นฝ่ายไอทีหรือฝ่ายสนับสนุน แล้วสร้างสถานการณ์ให้พนักงานเชื่อว่าต้องทำขั้นตอนยืนยันตัวตนหรือลงทะเบียนอุปกรณ์ใหม่ เมื่อพนักงานทำตามจนจบ ผู้โจมตีก็จะได้สิทธิ์เข้าถึงบัญชีของพนักงานคนนั้นทันที
จุดสำคัญของเทคนิคนี้คือมันไม่ได้ “เจาะ” MFA ในเชิงเทคนิค แต่หลอกให้เจ้าของบัญชีเป็นคนกดอนุมัติหรือลงทะเบียนอุปกรณ์ของผู้โจมตีเข้าไปในระบบเสียเอง ผลลัพธ์คือผู้โจมตีได้เซสชันที่ผ่านการยืนยันตัวตนอย่างถูกต้องทุกประการในสายตาของระบบ ทำให้กลไกตรวจจับที่อาศัยการล็อกอินผิดปกติหรือรหัสผ่านผิดซ้ำ ๆ มองไม่เห็นความผิดปกติเลย
เมื่อเข้าถึงบัญชีพนักงานได้แล้ว ผู้โจมตีจะใช้สิทธิ์ที่บัญชีนั้นมีอยู่เข้าไปดึงข้อมูลจากระบบ SaaS ที่เชื่อมต่ออยู่ ในกรณีนี้คือ Salesforce ซึ่งกลุ่มอ้างว่าดูดข้อมูลออกมาจาก Object ที่ชื่อ Contacts มากกว่า 1.1 ล้านแถว รวมถึงระบบบันทึกแชตฝ่ายบริการลูกค้าอย่าง Cresta ที่กลุ่มอ้างว่าได้บทสนทนาไปกว่า 3.8 ล้านรายการ บทสนทนากับฝ่ายบริการลูกค้ามักมีข้อมูลอ่อนไหวปะปนอยู่มาก ทั้งที่อยู่ รายละเอียดอุปกรณ์ที่ติดตั้ง และบางครั้งอาจมีข้อมูลการชำระเงินหรือรหัสยืนยันตัวตนหลุดอยู่ในข้อความด้วย
ผลกระทบต่อไทย
แม้ Brinks Home จะไม่ได้ให้บริการในประเทศไทย แต่รูปแบบการโจมตีชุดนี้ตรงกับความเสี่ยงขององค์กรไทยอย่างมาก เพราะองค์กรไทยจำนวนมากย้ายระบบลูกค้าสัมพันธ์ขึ้น Salesforce และใช้ Microsoft Entra ID เป็นศูนย์กลางการยืนยันตัวตน ซึ่งเป็นสองชิ้นส่วนที่ ShinyHunters เล็งเป็นเป้าหมายซ้ำ ๆ ในหลายเหตุการณ์ตลอดปีที่ผ่านมา จุดอ่อนที่ถูกใช้ไม่ใช่ช่องโหว่ของซอฟต์แวร์ แต่คือคนที่รับสายและกระบวนการช่วยเหลือผู้ใช้ที่ไม่มีขั้นตอนยืนยันตัวตนซ้ำอย่างรัดกุม
ความเสี่ยงเฉพาะสำหรับไทยคือ องค์กรจำนวนมากยังเชื่อว่าการเปิด MFA แล้วเท่ากับปลอดภัย ทั้งที่การโจมตีลักษณะนี้อาศัยการหลอกให้ผู้ใช้อนุมัติเอง นอกจากนี้ข้อมูลที่รั่วจากระบบ CRM และบันทึกแชตฝ่ายบริการลูกค้าถือเป็นข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (PDPA) ซึ่งองค์กรมีหน้าที่แจ้งเหตุต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมงเมื่อเข้าเงื่อนไข และในทางปฏิบัติ ข้อมูลชุดนี้ยังถูกนำไปต่อยอดเป็นการหลอกลวงรอบสองได้ทันที เช่นการโทรหรือส่งข้อความอ้างเป็นบริษัทเจ้าของข้อมูลเพื่อหลอกเอาข้อมูลเพิ่มหรือหลอกให้โอนเงิน ซึ่งเป็นรูปแบบที่แพร่หลายมากในไทยอยู่แล้ว
คำแนะนำ
องค์กรควรเสริมความแข็งแรงให้กระบวนการช่วยเหลือผู้ใช้ก่อนเป็นอันดับแรก โดยกำหนดขั้นตอนยืนยันตัวตนที่ชัดเจนสำหรับคำขอรีเซ็ตรหัสผ่าน ลงทะเบียนอุปกรณ์ MFA ใหม่ หรือขอเข้าถึงบัญชี ห้ามใช้ข้อมูลที่หาได้จากภายนอกอย่างวันเกิดหรือเลขพนักงานเป็นตัวยืนยัน และควรมีการยืนยันกลับผ่านช่องทางที่แยกจากช่องทางที่ติดต่อเข้ามา พร้อมกำหนดให้การลงทะเบียนอุปกรณ์ MFA ใหม่ต้องผ่านการอนุมัติจากผู้จัดการหรือทำจากเครือข่าย/อุปกรณ์ที่เชื่อถือได้เท่านั้น
ในฝั่งเทคนิค ควรเปลี่ยนไปใช้วิธียืนยันตัวตนที่ทนฟิชชิงอย่าง FIDO2 หรือ passkey แทนการอนุมัติผ่านแอปหรือรหัส OTP ซึ่งถูกหลอกให้กดอนุมัติได้ ตั้งนโยบาย Conditional Access ให้จำกัดการเข้าถึงตามอุปกรณ์ที่ลงทะเบียนและตำแหน่งที่ตั้ง และเปิดการแจ้งเตือนเมื่อมีการลงทะเบียนวิธียืนยันตัวตนใหม่ในบัญชีใด ๆ
สำหรับระบบ SaaS โดยเฉพาะ Salesforce ควรจำกัดสิทธิ์การส่งออกข้อมูลจำนวนมากให้เหลือเฉพาะบัญชีที่จำเป็นจริง ๆ ตั้งการแจ้งเตือนเมื่อมีการดึงข้อมูลผิดปกติทั้งในแง่ปริมาณและช่วงเวลา ทบทวนสิทธิ์ของแอปที่เชื่อมต่อผ่าน OAuth เป็นระยะ และอย่าลืมรวมระบบเสริมอย่างแพลตฟอร์มบันทึกแชตฝ่ายบริการลูกค้าเข้าไปในขอบเขตการประเมินความเสี่ยงด้วย เพราะข้อมูลจำนวนมหาศาลมักไปกองอยู่ในระบบเหล่านั้นโดยที่ทีมความมั่นคงปลอดภัยไม่ได้จับตา สุดท้าย ควรเตรียมแผนสื่อสารกับลูกค้าไว้ล่วงหน้า และเตือนลูกค้าให้ระวังข้อความหลอกลวงที่แอบอ้างชื่อบริษัทในช่วงหลังเกิดเหตุ ซึ่งเป็นสิ่งที่ Brinks Home ทำและถือเป็นแนวปฏิบัติที่ดี